Google Ads kræver Passkey / Adgangsnøgle til følsomme handlinger

Fra d. 19. august kræver Google fremadrettet, at følsomme handlinger i Google Ads bekræftes med Passkey-godkendelse. Følsomme handlinger er handlinger som at invitere nye brugere ind på en Google Ads-konto, acceptere link til en managerkonto og skifte fakturaindstillinger.

Passkey, eller Adgangsnøgle, som Google har døbt teknologien på dansk, er et alternativt login-system til klassisk brugernavn/kodeord. Passkey blev muligt at bruge som loginmetode af Apple, Google og Microsoft i 2022, men først nu er Google begyndt at kræve Passkey som adgangskontrol for følsomme handlinger i Google Ads.

Fordelen ved Passkey er, at den knytter sig til en enhed, og Google Adgangsnøgle giver 3 muligheder: Enten knytter man Adgangsnøglen til den enhed, man opretter Adgangsnøglen fra, knytter en iPhone eller Android-telefon til Adgangsnøglen eller bruger en indkøbt USB-sikkerhedsnøgle.

Adgangsnøgle på enheden

Hvis man opretter en Adgangsnøgle til Google Ads på en Windows-maskine, så knytter Adgangsnøglen sig til Windows Hello-login. Det vil sige, at enhedens bruger knytter enhedens tommelfingerscanner, ansigtsgenkendelse eller Windows Hello-pinkode op på Google Ads-kontoens login.

Ved at bruge Windows Hello som Adgangsnøgle kan man kun logge ind via den ene maskine, og det er der både fordele og ulemper ved, som vi kommer nærmere ind på senere.

For at bruge Passkey på en Windows-enhed kræver det, at Windows Hello er aktiv på maskinen. Microsoft har en guide til aktivering af Windows Hello her: https://support.microsoft.com/da-dk/windows/security/configure-windows-hello

Adgangsnøgle via iPhone eller Android

Man kan også knytte Google Ads Passkey op på en smartphone. Både iPhone og Android har hver sit system, som gør, at for at bekræfte de her kritiske handlinger i Google Ads foretaget på en laptop, så kræver det, at man bekræfter login via telefonen enten via et swipe, fingerscanner eller ansigtsgenkendelse, alt efter hvilken metode man har opsat på telefonen.

Adgangsnøgle via Sikkerhedsnøgle

Der er også mulighed for at benytte en sikkerhedsnøgle, hvis man har sådan en. En sikkerhedsnøgle er en lille USB-dongle, som man sætter i maskinen, og så kan man bruge den som Adgangsnøgle.

Det er smart, hvis man ofte skifter rundt fra maskine til maskine og gerne vil tage sikkerheden med sig uden at skulle oprette en Adgangsnøgle på hver maskine.

Flere adgangsnøgler

Det er muligt at opsætte flere adgangsnøgler til samme Google-konto. Så hvis en Google-konto bliver delt af et marketingteam, kan hver bruger have hver sin adgangsnøgle til kontoen.

Adgangsnøgle er et separat login

Det er vigtigt at være opmærksom på, at Adgangsnøgle er et separat login fra brugernavn og kodeord. Så blot fordi man ændrer kodeordet til Google-kontoen, vil alle oprettede Adgangsnøgler stadig fungere.

Her skal man ind og specifikt slette de adgangsnøgler for de brugere, der ikke længere skal have adgang.

Adgangsnøgler ligger i indstillingerne for Google-kontoen, ikke i Google Ads-indstillingerne.

Google-kontoen er ofte placeret i øverste højre hjørne, og her har man mulighed for at klikke sig videre til Google-kontoindstillingerne.

Fra indstillinger kan man navigere videre til Sikkerhed og login.

Og her kan man så vælge at navigere til Adgangsnøgler.

Hvis du allerede er logget ind i din Google konto kan du benytte dette link: https://myaccount.google.com/signinoptions/passkeys

Herfra kan man oprette alle de Adgangsnøgler man har brug for.

Google siger de oplever problemer med at Google konti bliver hacket via phishingangreb og en metode til at stoppe Phisning angreb på er ved at logge ind med Passkey.

Men er det ikke derfor vi har totrins login opsat på kontoen?

Man skulle tro det var nok at have totrinslogin opsat på Google Ads konto, som også er designet til at forhindre phishingangreb, som lokker brugernavn og adgangskode ud af brugeren.

Men det har åbenbart ikke været nok, da en hacker stadig, selv med totrinsverifikation, kan få udleveret sessionen i et angreb og så give sig selv administratoradgang til kontoen.

En stjålet session kan forhindres med Adgangsnøgle, da den knytter sig til enheden som hackeren ikke emulerer.

Lige nu er det kun Google Ads der kræver Adgangsnøgle til følsomme handlinger, men loginmetoden knytter sig til Google kontoen, så det betyder at alle de andre konti man har på Googlekontoen og påvirkes, det er Google Search Console, Merchant center, Google Analytics, Google Tag Manager og så videre.

Det er typisk også en Google konto der bliver delt på tværs af et marketingteam eller Marketingbureau.

Især hvis første bruger, der bliver tvunget til at oprette en Passkey, nu knytter den fælles Googlekonto op til deres egen iPhone, så bliver alle andre i team fremadrettet promptet til at logge ind i den iPhone.

Hvis der er opsat Passkey via en telefon eller sikkerhedsnøgle, så vil Google prioritere den loginmetode over login med brugernavn og adgangskode.

Hvis der er opsat Passkey med Windows Hello, er systemet så smart, at den kun beder om Passkey login på den enhed der har Adgangsnøglen.

Det kan derfor være en god ide, at gøre brug af lokal Passkey opsat på Windows Hello eller sikkerhedsnøgle for de administratorer der håndterer brugeradgang til Google Ads. Så forstyrrer det ikke Logins for resten af teamet der blot benytter ikke kritiske systemer som Analytics eller Tag manager.

Og det er også vigtigt her at nævne, at brugernavn og kodeord ikke stopper med at virke, bare fordi der bliver opsat Passkey. Google prioriterer at logge ind med Passkey frem for brugernavn/kodeord, når det er muligt.

Selv hvis der er knyttet en Android- eller iPhone-Passkey til kontoen, så er det stadig muligt at vælge en anden loginmetode og logge ind med brugernavn og kodeord + totrins-verifikation. Dog skal der vælges en Passkey-metode, hvis det er en af Google Ads’ følsomme handlinger.

Hvis nu en i teamet har opsat Passkey via sin telefon, og Google-login begynder at prioritere den over den normale loginskærm, så opsæt selv Passkey til fx sikkerhedsnøgle eller Windows Hello. Så vil Google-login prioritere lokal Passkey-login over en Passkey knyttet til en telefon.